The Events Calendar: RCE sin autenticación (CVE-2026-78006)

The Events Calendar, el plugin de calendario con más de 600.000 instalaciones activas, tiene una vulnerabilidad de ejecución remota de código (RCE) sin autenticación que permite a un atacante anónimo tomar el control total del sitio: CVE-2026-78006, con CVSS 9.8 (Critical).

El hallazgo fue reportado por Chloe Chamberland y el equipo Wordfence Argus y publicado el 11 de septiembre de 2026. El parche oficial es la 6.17.4.1, disponible en WordPress.org desde el 10 de septiembre — o sea que hoy mismo podés cerrar el agujero.

¿Tenés The Events Calendar instalado?

La pregunta ya no es si sos vulnerable, sino si todavía no te comprometieron. Una auditoría revisa tu instalación real: qué versión corrés, si hay archivos modificados, usuarios admin que no creaste y qué queda abierto después de actualizar.

USD 150 · informe con plan de acción priorizado · pedí tu auditoría →

Qué pasó

El bug es una inyección de objetos PHP (PHP Object Injection) en la función is_safe_widget_instance. La validación de seguridad que debería bloquear datos serializados maliciosos se puede evadir: PHP dispara magic methods durante el pre-procesado y la función enable_rendering_widget_copied() logra forjar un atributo de integridad wp_hash válido, lo que permite que datos no confiables pasen el filtro.

Con eso un atacante sin cuenta en el sitio:

1. Inyecta un objeto PHP arbitrario a través de datos deserializados no confiables.
2. Con una POP chain disponible en el ecosistema (como pasó con GiveWP y otros plugins este año), ejecuta código arbitrario en el servidor.
3. Con la ejecución de código, el control es total: subir webshells, inyectar malware, leer la base de datos o redirigir al sitio.

No hay confirmación pública de explotación masiva al cierre de esta nota, pero el perfil es de los que se explotan rápido: un solo request anónimo + RCE + plugin instalado en cientos de miles de sitios. Si dejás el sitio sin actualizar, estás apostando.

Actualización 12/09: el 11 de septiembre se publicó un segundo CVE crítico del mismo día para este plugin: CVE-2026-78159 (9.8, Code Injection → RCE, afecta hasta 6.17.3, reportado por el mismo equipo Wordfence Argus). Ambos se cierran con el mismo parche 6.17.4.1 — si ya actualizaste, estás cubierto para los dos; si todavía no, no hay razón para esperar.

Actualización 15/09: el 14 de septiembre Wordfence publicó el research completo de Argus sobre las dos cadenas (Chloe Chamberland). Datos nuevos con fecha límite para vos:

• Chain 1 (CVE-2026-78006) — PHP Object Injection → ejecución de comandos del sistema operativo. Descubierta el 21/08, divulgada el mismo día, parche inicial de StellarWP el 25/08 (4 días después del aviso).
• Chain 2 (CVE-2026-78159) — bypassea el guard de object injection y abusa de un arbitrary-callable para resetear la contraseña del administrador y después subir un plugin malicioso: control total del sitio. Descubierta el 23/08, parche completo el 10/09 (la 6.17.4.1).
• Fecha límite si usás Wordfence free: la regla de firewall que bloquea estos exploits se liberó para Premium/Care/Response el 22/08, pero los usuarios de la versión gratuita recién la reciben el 21 de septiembre de 2026 (30 días después). Si tu sitio tiene TEC sin actualizar y dependés de Wordfence free, el 21/09 es tu última red de contención — después de esa fecha, quedás sin firewall para este exploit y sin parche a la vez.

La conclusión no cambia, pero ahora tiene fecha: actualizá a 6.17.4.1 antes del 21/09. El firewall no reemplaza al parche — solo te compra tiempo.

Detalle técnico

Campo	Dato
CVE	CVE-2026-78006 (chain 1) y CVE-2026-78159 (chain 2)
Severidad / CVSS	Crítica — 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Tipo	PHP Object Injection → RCE (CWE-502) y Code Injection → RCE vía arbitrary-callable (CWE-94)
Plugin	The Events Calendar (StellarWP)
Versiones afectadas	Chain 1: hasta 6.17.4 inclusive · Chain 2: hasta 6.17.3 inclusive
Versión corregida	6.17.4.1 — parche inicial 25/08/2026, parche completo 10/09/2026 (confirma Wordfence)
Requiere autenticación	No (unauthenticated)
Instalaciones activas	600.000+
Reportado por	Chloe Chamberland y Wordfence Argus (Wordfence Bug Bounty)
Publicación	11 de septiembre de 2026 (research completo: 14/09/2026)
Firewall Wordfence	Premium/Care/Response: 22/08/2026 · free: 21/09/2026

¿Te afecta?

The Events Calendar se usa en sitios de eventos, agendas, reservas, iglesias, universidades, ONGs y medios que publican calendarios. Te afecta si:

• Tenés The Events Calendar 6.17.4 o anterior instalado (revisá Plugins → Plugins instalados), o
• Tenés Events Calendar Pro o cualquiera de los add-ons de la familia StellarWP: confirmá que la versión del plugin base también esté actualizada, porque el vector pasa por el widget de calendario.

La condición es solo tener el plugin activo. No hay configuraciones que mitiguen el RCE; actualizar es la única defensa real.

Qué hacer ahora

1. Actualizá YA a The Events Calendar 6.17.4.1 (Plugins → Añadir plugins → Actualizaciones, o actualización manual desde WordPress.org). Si usás la familia completa (Pro, Event Tickets, etc.), actualizá todo el ecosistema StellarWP de una vez.
2. Habilitá las actualizaciones automáticas de estos plugins para no depender de recordártelo.
3. Revisá señales de compromiso reciente: archivos PHP modificados o nuevos en wp-content/uploads/ y wp-content/plugins/ en los últimos 30 días, usuarios administradores que no reconocés y contenido inyectado en páginas. Ante la mínima sospecha, asumí compromiso total y limpiá con un escáner (Wordfence, cualquier plan).
4. Limitá el acceso al admin si podés: restringí wp-admin por IP o activá 2FA en los usuarios con privilegios.
5. Si todavía no actualizaste: activá un WAF (Wordfence o Cloudflare) como red de contención temporal, pero entendé que no reemplaza al parche.

TL;DR: The Events Calendar ≤ 6.17.4 deja ejecutar código en tu servidor a cualquier visitante anónimo (CVSS 9.8). El parche 6.17.4.1 ya está disponible. Actualizá hoy y revisá si hubo actividad sospechosa reciente.

Fuentes

• Wordfence Blog: Wordfence Argus Identifies Two Critical Unauthenticated Vulnerability Chains Leading to RCE in The Events Calendar (14/09/2026)
• Wordfence Threat Intelligence: The Events Calendar ≤ 6.17.4 – Unauthenticated PHP Object Injection to RCE
• NVD: CVE-2026-78006
• NVD / cve.org: CVE-2026-78159
• Página del plugin en WordPress.org